【用語集】個人情報保護マネジメントシステム（PMS）とは何ですか？

みなさま、こんにちは。有限会社マイカのライター「秋葉けんた」と申します。暑い日が続きますが、皆様お身体には変わりはございませんでしょうか？

さて、先週から始まりました「分かりやすいセキュリティ用語集」の第二回目は「個人情報保護マネジメントシステム（略称：PMS）」です。

【個人情報保護マネジメントシステム(PMS)】とは何ですか？

個人情報保護マネジメントシステムについて、プライバシーマークが準拠する規格では、下記の通り定義しています。

個人情報保護マネジメントシステムとは？
事業者が、自らの事業の用に供する個人情報を保護するための方針、体制、計画、実施、監査及び見直しを含むマネジメントシステム（JIS Q 15001より）

個人情報保護マネジメントシステム（PMS）は、企業や組織が個人情報を保護するための一連の仕組みを指します。個人情報をどうやって守るかという「個人情報保護方針」を策定して、PDCAサイクル（Plan: 計画 Do: 実施 Check: 見直し Action: 改善）を通して、個人情報保護方針通りに個人情報を管理できているか、継続的に改善していく仕組みのことです。

つまり、企業は個人情報を守るための体制を作り、それを実行し、さらに継続的に改善していく仕組みを持つ必要があるということです。

ちなみに、英語では「Personal information protection Management Systems」と表記するので、特にプライバシーマークの専門家であるコンサルタントや審査員が、この英語の頭文字を並べて「PMS」ということも多いようです。

PDCAサイクルは、もともと品質管理を行うために開発された手法ですが、今日では業務改善や情報セキュリティの取り組みにも広く用いられるようになっています。それを個人情報保護の取り組みに用いたのが個人情報保護マネジメントシステムとなります。個人情報を保護するために「目標を設定し、具体的な計画を立て(PLAN)」「計画にもとづいて実行し(DO)」「計画通り行われているか、目標は達成しているかを確認し評価する(CHECK)」「評価をもとに、さらに改善する(ACTION)」ことを繰り返していくのが、個人情報保護マネジメントシステムです。お分かりいただけますでしょうか？

個人情報保護マネジメントシステム（PMS）は具体的にどのようにすれば良いか

例えば、学校で学生の個人情報（名前、住所、成績など）を管理する場合を考えてみましょう。この情報が外部に漏れたり、勝手に使われたりしないようにするために、以下のようなことを行います。

1　方針の策定
まずは「私たちの学校は学生の個人情報をしっかり守る」という方針を決めます。

2　体制の構築
誰が個人情報を管理するか、責任者を決めます。

3　計画の作成
個人情報をどうやって安全に保つかの計画を立てます（例：デジタル情報はパスワードで保護する、紙の情報は鍵のかかる場所に保管する）など。

4　実施
計画に基づいて実際に個人情報を管理します。

5　見直し
ちゃんと計画通りに個人情報が守られているかを定期的にチェックします。

6　改善
監査の結果を元に、問題点があれば改善策を考えます。

個人情報保護マネジメントシステム（PMS）は、企業や組織が個人情報を守るための仕組みです。具体的には、方針を決め、計画を立て、実行し、監査し、見直して改善していくという一連のプロセスを繰り返すことです。これにより、常に最新の状態で個人情報を保護し続けることができます。

また、個人情報がどの範囲まで指すのか、についてはこちらの記事で解説しているのでお読みください。